2. dmesg日志格式深度解析：时间戳、日志级别、设施与动作

dmesg 输出的每一行日志都遵循一套固定的格式规范。理解这些字段的含义，是快速定位内核问题的基本功。本章将逐一拆解时间戳、日志级别（KERN_*）、设施（Facility）和动作（Action）四个核心要素。

2.1 时间戳：系统启动后的“心跳”刻度

dmesg 默认使用 相对时间戳，表示从内核启动开始到日志输出时刻所经过的秒数（精确到微秒）。格式为 [ 5.123456]，方括号内第一个数字是秒，小数点后是微秒。

2.2 日志级别：从“致命”到“调试”的八级阶梯

Linux 内核定义了 8 个日志级别，用 <0> 到 <7> 的数字表示，数字越小越紧急。这些级别对应宏定义 KERN_EMERG 到 KERN_DEBUG。

2.3 设施（Facility）：日志的“部门”归属

设施字段标识日志消息来自内核的哪个子系统。在 dmesg 输出中，设施通常以 [facility.action] 的形式出现，例如 [kern.warn]、[pci]、[ext4]。设施是内核日志系统（printk）与用户态日志系统（syslog）之间的桥梁。

2.4 动作（Action）：日志的“动词”

动作字段描述设施执行的具体操作或发生的事件。它通常紧跟在设施之后，用点号分隔，如 [kern.warn] 中的 warn。动作是日志语义的核心，告诉你“发生了什么”。

常见的动作包括：

• err / warn / info / emerg：与日志级别对应的通用动作，表示错误、警告、信息、紧急。
• probe / init / exit：驱动或模块的探测、初始化、卸载。
• mount / umount：文件系统的挂载与卸载。
• alloc / free：内存分配与释放。
• read / write / ioctl：设备 I/O 操作。
• timeout / reset：超时或复位事件。

2.5 综合实战：解析一条真实 dmesg 日志

让我们将本章所学知识应用到一条真实的 dmesg 日志行中：

[    5.123456] <3> [kern.warn]  (printk)  ttyS0:  detected caps 00000000 should be 00000100

逐字段解析：

1. 时间戳：[ 5.123456] — 系统启动后约 5.12 秒。
2. 日志级别：<3> — KERN_ERR，表示错误条件。
3. 设施：kern — 来自内核核心子系统。
4. 动作：warn — 警告动作，但级别是 ERR，说明这是一个被归类为错误的警告。
5. 消息正文：ttyS0: detected caps 00000000 should be 00000100 — 串口 ttyS0 检测到能力位异常。